В Telegram со стороннего магазина APKPure нашли подозрительный код сбора данных
Кодик кратко объясняет суть статьи
Исследователь Эрик Паркер выявил, что в стороннем магазине APKPure распространяется модифицированная версия Telegram, подписанная неофициальным ключом и содержащая вредоносный класс DataCollector. Этот класс собирает номер телефона, данные профиля, изображения, видео, документы и информацию с SIM-карты, отправляя их на сервер в Гонконге через эндпоинты вроде /api/collect. Код встроен в активные процессы приложения, например, срабатывает при входе в аккаунт. Проверка показала, что APK с APKPure имеет иную цифровую подпись, чем официальная версия с сайта Telegram, что подтверждает его поддельный характер. На VirusTotal угроза обнаружена лишь одним антивирусом, вероятно из-за новизны сборки. Ранее APKPure уже был замечен в распространении вредоносного ПО, включая троян Triada и скомпрометированные версии Telegram X.
Читайте в Telegram
|
Исследователь информационной безопасности Эрик Паркер обратил внимание на то, что сторонний Android-магазин приложений APKPure распространяет модифицированную версию Telegram под видом официальной.
Версия мессенджера, доступная в стороннем магазине APKPure, подписана не ключом Telegram и содержит класс, который отправляет на сторонний сервер номер телефона, профиль и файлы с устройства.
При декомпиляции APK-файла в коде обнаруживается класс DataCollector, которого нет в логике обычного мессенджера, а также прописанный прямо в коде адрес сервера, расположенного, по данным проверки IP, в Гонконге.
Что нашли в коде
Класс DataCollector содержит методы отправки на сторонний сервер номера телефона и профиля пользователя, а также сбора изображений и видео из галереи, документов с устройства и данных SIM-карты.
Вызовы этих методов встроены в рабочие участки приложения — в частности, они срабатывают при входе пользователя в аккаунт. В коде прописаны эндпоинты с характерными названиями вроде /api/collect и /api/collect_batch — такая схема типична для приложений, скрытно выгружающих данные.
Редакция «Кода Дурова» также проверила APK с APKPure и обнаружила, что оно использует другую цифровую подпись. Сборка с APKPure (версия 12.6.5) подписана сертификатом с отпечатком, который не совпадает с отпечатком сертификата официального клиента, загруженного с сайта telegram.org. Поскольку пересобрать и переподписать приложение чужим ключом невозможно без вмешательства в исходный APK, расхождение подписи прямо указывает: сборка с APKPure модифицирована и выпущена не Telegram.
При этом на сервисе VirusTotal файл на момент проверки детектировал лишь один антивирус из 56 — массово угрозу защитные системы пока не подтверждают. Это может объясняться тем, что сборка свежая и сигнатуры ещё не обновлены. Сам Паркер отмечает, что в официальном стабильном клиенте Telegram класса DataCollector он не нашёл.
Это не первый случай, когда к APKPure возникают вопросы по части безопасности. В 2021 году исследователи «Лаборатории Касперского» и Dr.Web обнаружили вредоносный код прямо в самом приложении магазина — троян семейства Triada, который мог показывать рекламу и подгружать на устройство сторонние модули; APKPure тогда выпустила исправленную версию. В 2025 году сообщалось, что через APKPure и ряд других сторонних площадок распространялись скомпрометированные сборки Telegram X с бэкдором — их раздавали под именем официального разработчика, хотя цифровая подпись отличалась от настоящей.
